9 Защита информационных ресурсов в инновационной деятельности
Современное развитие информационных технологий и, в частности, технологий Internet/Intranet приводит к необходимости защиты информации, передаваемой в рамках распределенной корпоративной сети, которая использует сети открытого доступа. При работе на своих собственных закрытых физических каналах доступа эта проблема так остро не стоит, так как в эту сеть закрыт доступ посторонним. Однако выделенные каналы может себе позволить далеко не любая компания. Поэтому приходится довольствоваться тем, что есть в распоряжении компании. А есть чаще всего Internet. Поэтому нужно изобретать способы защиты конфиденциальных данных, передаваемых по фактически незащищенной сети.
Рассматривая вопросы информационной защиты, можно выделить несколько вопросов, которые являются базовыми и в обязательном порядке должны прорабатываться высшим руководством компании при организации информационной защиты (рис. 9.1).
Надо ли защищаться? Ответов на этот вопрос может быть множество, в зависимости от структуры и целей компании. Для одних главной задачей является предотвращение утечки информации (маркетинговых планов, перспективных разработок и т. д.) конкурентам. Другие могут пренебречь конфиденциальностью своей информации и сосредоточить свое внимание на ее целостности (например, для банка важно в первую очередь обеспечить неизменность обрабатываемых платежных поручений). Для третьих компаний на первое место выходит задача обеспечения доступности и безотказной работы корпоративных информационных систем. Например, для провайдера Internet-
Рисунок 9.1 – Ключевые вопросы информационной безопасности
услуг, компании, имеющей Web-сервер, или оператора связи первейшей задачей является именно обеспечение безотказной работы всех (или наиболее важных) узлов своей информационной системы. Расставить такого рода приоритеты можно только в результате анализа деятельности компании.
Обычно, когда речь заходит о безопасности компании, ее руководство часто недооценивает важность информационной безопасности. Основной упор делается на физической безопасности (пропускной режим, охрана, системы видеонаблюдения и т. д.). Однако за последние годы ситуация существенно изменилась. Для того чтобы проникнуть в тайны компании, нет необходимости перелезать через заборы и обходить периметровые датчики, вторгаться в защищенные толстыми стенами помещения, вскрывать сейфы и т. п. Достаточно войти в информационную систему банка и перевести сотни тысяч долларов на нужные счета, подменить или уничтожить критически важные данные, вывести из строя какой-либо узел корпоративной сети.
Все это может привести к значительному ущербу, причем не только к прямому, который может выражаться в крупных суммах, но и к косвенному, не менее значимому. Выведение из строя того или иного узла сети или модуля КИС приводит к затратам на восстановление его работоспособности, которые заключаются в обновлении или замене программного обеспечения, расходовании дополнительной зарплаты обслуживающего персонала. Атака на Web-сервер компании и замена его содержимого на любое другое может привести к снижению доверия к фирме и, как следствие, к потере части клиентуры и снижению доходов.
От кого защищаться? В абсолютном большинстве случаев ответ на этот вопрос - от внешних злоумышленников, хакеров. По мнению большинства российских предпринимателей, основная опасность исходит именно от них: проникают в компьютерные системы банков и военных организаций, перехватывают управление спутниками и т. д.
Такая опасность существует, и ее нельзя недооценивать. Но она слишком преувеличена. Статистика показывает: до 70-80 % всех компьютерных преступлений связаны с внутренними нарушениями, которые осуществляются сотрудниками компании! Пусть случайному внешнему злоумышленнику (а большинство «взломов» совершают именно такие субъекты) удалось найти слабое место в системе информационной безопасности компании. Используя эту «дыру», он проникает в корпоративную сеть - к финансовым данным, стратегическим планам или перспективным проектам. Что он реально имеет? Не являясь специалистом в области, в которой работает компания, разобраться без посторонней помощи в гигабайтах информации попросту невозможно. Однако свой сотрудник может реально оценить стоимость той или иной информации, и он обладает привилегиями доступа, которые позволяют ему производить несанкционированные манипуляции.
В публикациях достаточно примеров, когда сотрудник компании, считая, что его на работе не ценят, совершает компьютерное преступление, приводящее к многомиллионным убыткам. Часты случаи, когда после увольнения бывший сотрудник компании в течение долгого времени пользуется корпоративным доступом в Internet. При увольнении этого сотрудника никто не подумал о необходимости отмены его пароля на доступ к данным и ресурсам, с которыми он работал в рамках своих служебных обязанностей. Если администрирование доступа поставлено плохо, то часто никто не замечает, что бывшие сотрудники пользуются доступом в Internet и могут наносить ущерб своей бывшей компании. Спохватываются лишь тогда, когда замечают резко возросшие счета за Internet-услуги и утечку конфиденциальной информации. Такой случай достаточно показателен, т. к. иллюстрирует очень распространенные практику и порядок увольнения в российских компаниях.
Однако самая большая опасность может исходить не просто от уволенных или обиженных рядовых сотрудников (например, операторов различных информационных подсистем), а от тех, кто облечен большими полномочиями и имеет доступ к широкому спектру самой различной информации. Обычно это сотрудники ИТ-отделов (аналитики, разработчики, системные администраторы), которые знают пароли ко всем системам, используемым в организации. Их квалификация, знания и опыт, используемые во вред, могут привести к очень большим проблемам. Кроме того, таких злоумышленников очень трудно обнаружить, поскольку они обладают достаточными знаниями о системе защиты ИС компании, чтобы обойти используемые защитные механизмы и при этом остаться «невидимыми».
Поэтому при построении системы защиты необходимо защищаться не только и не столько от внешних злоумышленников, но и от злоумышленников внутренних, т.е. выстраивать комплексную систему информационной безопасности.
Приоритетные направления исследований и разработок в области защиты информации и компьютерной безопасности. В области защиты информации и компьютерной безопасности в целом наиболее актуальными являются три группы проблем:
1. Нарушение конфиденциальности информации;
2. Нарушение целостности информации;
3. Нарушение работоспособности информационно-вычислительных систем.
Классически считалось, что обеспечение безопасности информации складывается из трех составляющих: Конфиденциальности,Целостности,Доступности(рис. 9.2). Точками приложения процесса защиты информации кинформационной системеявляютсяаппаратное обеспечение,программное обеспечениеиобеспечение связи(коммуникации). Самипроцедуры(механизмы) защиты разделяются на защиту физического уровня, защиту персонала и организационный уровень.
Безопасность информации (данных) – состояние защищенности информации (данных), при котором обеспечены её (их) конфиденциальность, доступность и целостность.
Рисунок 9.2 – Составляющие обеспечения информационной безопасности
Информационная безопасность – защита конфиденциальности, целостности и доступности информации.
Конфиденциальность: свойство информационных ресурсов, в том числе информации, связанное с тем, что они не станут доступными и не будут раскрыты для неуполномоченных лиц (состояние информации, при котором доступ к ней осуществляют только субъекты, имеющие на него право);
Целостность: неизменность информации в процессе ее передачи или хранения (избежание несанкционированной модификации информации).
Доступность: свойство информационных ресурсов, в том числе информации, определяющее возможность их получения и использования по требованию уполномоченных лиц (избежание временного или постоянного сокрытия информации от пользователей, получивших права доступа).
Объём (реализация) понятия «информационная безопасность».
Системный подход к описанию информационной безопасности предлагает выделить следующие составляющие информационной безопасности:
Законодательная, нормативно-правовая и научная база.
Структура и задачи органов (подразделений), обеспечивающих безопасность ИТ.
Организационно-технические и режимные меры и методы (Политика информационной безопасности).
Программно-технические способы и средства обеспечения информационной безопасности.
Ниже в данном разделе подробно будет рассмотрена каждая из составляющих информационной безопасности.
Целью реализации информационной безопасности какого-либо объекта является построение Системы обеспечения информационной безопасности данного объекта (СОИБ). Для построения и эффективной эксплуатации СОИБ необходимо:
выявить требования защиты информации, специфические для данного объекта защиты;
учесть требования национального и международного Законодательства;
использовать наработанные практики (стандарты, методологии) построения подобных СОИБ;
определить подразделения, ответственные за реализацию и поддержку СОИБ;
распределить между подразделениями области ответственности в осуществлении требований СОИБ;
на базе управления рисками информационной безопасности определить общие положения, технические и организационные требования, составляющие Политику информационной безопасности объекта защиты;
реализовать требования Политики информационной безопасности, внедрив соответствующие программно-технические способы и средства защиты информации;
реализовать Систему менеджмента (управления) информационной безопасности (СМИБ);
используя СМИБ организовать регулярный контроль эффективности СОИБ и при необходимости пересмотр и корректировку СОИБ и СМИБ.
Как видно из последнего этапа работ, процесс реализации СОИБ непрерывный и циклично (после каждого пересмотра) возвращается к первому этапу, повторяя последовательно всё остальные. Так СОИБ корректируется для эффективного выполнения своих задач защиты информации и соответствия новым требованиям постоянно обновляющейся информационной системы.
Включить комментарииНастройкиМоПомощьОт чего защищаться? При интеграции индивидуальных и корпоративных информационных систем и ресурсов в единую информационную инфраструктуру определяющим фактором является обеспечение должного уровня информационной безопасности для каждого субъекта, принявшего решение войти в это пространство. В едином информационном пространстве должны быть созданы все необходимые предпосылки для установления подлинности пользователя (субъекта), подлинности содержания и подлинности сообщения (т.е. созданы механизмы и инструмент аутентификации). Таким образом, должна существовать система информационной безопасности, которая включает необходимый комплекс мероприятий и технических решений по защите:
от нарушения функционирования информационного пространства путем исключения воздействия на информационные каналы и ресурсы;
от несанкционированного доступа к информации путем обнаружения и ликвидации попыток использования ресурсов информационного пространства, приводящих к нарушению его целостности;
от разрушения встраиваемых средств защиты с возможностью доказательства неправомочности действий пользователей и обслуживающего персонала;
от внедрения «вирусов» и «закладок» в программные продукты и технические средства.
Особо следует отметить задачи обеспечения безопасности разрабатываемых и модифицируемых систем в интегрированной информационной среде, т. к. в процессе модификации неизбежно возникновение дополнительных ситуаций незащищенности системы. Для решения этой проблемы наряду с общими методами и технологиями следует отметить введение ряда требований к разработчикам, создание регламентов внесения изменений в системы, а также использование специализированных средств.
Лавинообразное распространение вирусов стало большой проблемой для большинства компаний и государственных учреждений. В настоящее время известно более 45000 компьютерных вирусов и каждый месяц появляется более 300 новых разновидностей. По различным данным в 2007 году вирусным атакам было подвержено от 65 % до 80 % компаний во всем мире. Прямые и косвенные потери исчисляются сотнями миллионов долларов. И эти цифры неуклонно растут.
Компьютерный вирус - это специально написанная программа, которая может «приписывать» себя к другим программам, т.е. «заражать их» с целью выполнения различных нежелательных действий на компьютере и в сети. Когда такая программа начинает работу, то сначала, как правило, управление получает вирус. Вирус может действовать самостоятельно, выполняя определенные вредоносные действия (изменяет файлы или таблицу размещения файлов на диске, засоряет оперативную память, изменяет адресацию обращений к внешним устройствам и т.д.), или «заражает» другие программы. Зараженные программы могут быть перенесены на другой компьютер с помощью дискет или локальной сети.
Формы организации вирусных атак весьма разнообразны, но в целом практически их можно «разбросать» по следующим категориям:
удаленное проникновение в компьютер - программы, которые получают неавторизованный доступ к другому компьютеру через Internet (или локальную сеть);
локальное проникновение в компьютер - программы, которые получают неавторизованный доступ к компьютеру, на котором они впоследствии работают;
удаленное блокирование компьютера - программы, которые через Internet (или сеть) блокируют работу всего удаленного компьютера или отдельной программы на нем;
локальное блокирование компьютера – программы, которые блокируют работу компьютера, на котором они работают;
сетевые сканеры - программы, которые осуществляют сбор информации о сети, чтобы определить, какие из компьютеров и программ, работающих на них, потенциально уязвимы к атакам;
сканеры уязвимых мест программ - программы, проверяют большие группы компьютеров в Интернет в поисках компьютеров, уязвимых к тому или иному конкретному виду атаки;
«вскрыватели» паролей - программы, которые обнаруживают легко угадываемые пароли в зашифрованных файлах паролей;
сетевые анализаторы (sniffers) - программы, которые слушают сетевой трафик. Часто в них имеются возможности автоматического выделения имен пользователей, паролей и номеров кредитных карт из трафика;
модификация передаваемых данных или подмена информации;
подмена доверенного объекта распределённой ВС (работа от его имени) или ложный объект распределённой ВС (РВС).
«социальная инженерия» - несанкционированный доступ к информации иначе, чем взлом программного обеспечения. Цель - ввести в заблуждение сотрудников (сетевых или системных администраторов, пользователей, менеджеров) для получения паролей к системе или иной информации, которая поможет нарушить безопасность системы.
К вредоносному программному обеспечению относятся сетевые черви, классические файловые вирусы, троянские программы, хакерские утилиты и прочие программы, наносящие заведомый вред компьютеру, на котором они запускаются на выполнение, или другим компьютерам в сети.
Сетевые черви. Основным признаком, по которому типы червей различаются между собой, является способ распространения червя - каким способом он передает свою копию на удаленные компьютеры. Другими признаками различия КЧ между собой являются способы запуска копии червя на заражаемом компьютере, методы внедрения в систему, а также полиморфизм, «стелс» и прочие характеристики, присущие и другим типам вредоносного программного обеспечения (вирусам и троянским программам). Пример - почтовые черви (Email-Worm). К данной категории червей относятся те из них, которые для своего распространения используют электронную почту. При этом червь отсылает либо свою копию в виде вложения в электронное письмо, либо ссылку на свой файл, расположенный на каком-либо сетевом ресурсе (например, на зараженный файл, расположенный на взломанном или хакерском Web-сайте). В первом случае код червя активизируется при открытии (запуске) зараженного вложения, во втором - при открытии ссылки на зараженный файл. В обоих случаях эффект одинаков - активизируется код червя.
Классические компьютерные вирусы. К данной категории относятся программы, распространяющие свои копии по ресурсам локального компьютера с целью: последующего запуска своего кода при каких-либо действиях пользователя или дальнейшего внедрения в другие ресурсы компьютера.
В отличие от червей, вирусы не используют сетевых сервисов для проникновения на другие компьютеры. Копия вируса попадает на удалённые компьютеры только в том случае, если зараженный объект по каким-либо не зависящим от функционала вируса причинам оказывается активизированным на другом компьютере, например:
при заражении доступных дисков вирус проник в файлы, расположенные на сетевом ресурсе;
вирус скопировал себя на съёмный носитель или заразил файлы на нем;
пользователь отослал электронное письмо с зараженным вложением.
Некоторые вирусы содержат в себе свойства других разновидностей вредоносного программного обеспечения, например «бэкдор-процедуру» или троянскую компоненту уничтожения информации на диске.
Многие табличные и графические редакторы, системы проектирования, текстовые процессоры имеют свои макроязыки для автоматизации выполнения повторяющихся действий. Эти макроязыки часто имеют сложную структуру и развитый набор команд. Макро-вирусы являются программами на макроязыках, встроенных в такие системы обработки данных. Для своего размножения вирусы этого класса используют возможности макроязыков и при их помощи переносят себя из одного зараженного файла (документа или таблицы) в другие.
Скрипт-вирусы. Следует отметить также скрипт-вирусы, являющиеся подгруппой файловых вирусов. Данные вирусы, написаны на различных скрипт-языках (VBS, JS, BAT, PHP и т.д.). Они либо заражают другие скрипт-программы (командные и служебные файлы MS Windows или Linux), либо являются частями многокомпонентных вирусов. Также, данные вирусы могут заражать файлы других форматов (например, HTML), если в них возможно выполнение скриптов.
Троянские программы. В данную категорию входят программы, осуществляющие различные несанкционированные пользователем действия: сбор информации и её передачу злоумышленнику, ее разрушение или злонамеренную модификацию, нарушение работоспособности компьютера, использование ресурсов компьютера в неблаговидных целях. Отдельные категории троянских программ наносят ущерб удаленным компьютерам и сетям, не нарушая работоспособность зараженного компьютера (например, троянские программы, разработанные для массированных DoS-атак на удалённые ресурсы сети).
Хакерские утилиты и прочие вредоносные программы. К данной категории относятся:
утилиты автоматизации создания вирусов, червей и троянских программ (конструкторы);
программные библиотеки, разработанные для создания вредоносного ПО;
хакерские утилиты скрытия кода зараженных файлов от антивирусной проверки (шифровальщики файлов);
«злые шутки», затрудняющие работу с компьютером;
программы, сообщающие пользователю заведомо ложную информацию о своих действиях в системе;
прочие программы, тем или иным способом намеренно наносящие прямой или косвенный ущерб данному или удалённым компьютерам.
К прочим вредоносным относятся разнообразные программы, не представляющие угрозы непосредственно компьютеру, на котором исполняются, а разработаны для создания других вирусов или троянских программ, организации DОS-атак на удаленные серверы, взлома других компьютеров и т. п.
Наиболее массированные атаки проводятся программами типа «троянский конь», которые могут быть незаметно для владельца установлены на его компьютер и так же незаметно функционировать на нём. Самый распространенный вариант «троянского коня» выполняет чаще всего одну функцию - это, как правило, кража паролей, но есть и более «продвинутые» экземпляры. Они реализуют широкий спектр функций для удаленного управления компьютером, в том числе просмотр содержимого экрана, перехват сигналов от нажатий клавиш, кражу или уничтожение данных и информации, изменение и замену файлов и баз данных.
Другим распространенным типом атак являются действия, направленные на выведение из строя того или иного узла сети. Эти атаки получили название «реализация отказа в обслуживании» (Denial of Service Realization), и на сегодняшний день известно более сотни различных вариантов этих действий. Как уже отмечалось, выведение из строя узла сети даже на несколько часов или минут может привести к очень серьезным последствиям. Например, повреждение сервера платежной системы банка приведет к невозможности осуществления платежей и, как следствие, к большим прямым и косвенным финансовым потерям не только самого банка, но и его клиентов.
Именно атаки такого рода сейчас наиболее обсуждаемы. Однако существуют и другие угрозы, которые могут привести к серьезным последствиям. Например, система обнаружения атак RealSecure отслеживает более 600 различных событий, влияющих на безопасность и относящихся к возможности внешних атак.
Общие методики защиты от вирусов в обязательном порядке являются обязательной составной частью «Политики информационной безопасности предприятия». В соответствующих разделах политики описываются принципы антивирусной защиты, применяемые стандарты и нормативные документы, определяющие порядок действий пользователя при работе в локальной и внешних сетях, его полномочия, применяемые антивирусные средства. Наборы обязательных правил могут быть достаточно разнообразны, однако можно сформулировать в общем виде следующие правила для пользователей:
проверять на вирусы все дискеты, CD-RW, ZIP-диски, побывавшие на другом компьютере, все приобретенные CD;
использовать антивирусные программы известных проверенных фирм, регулярно (в идеале - ежедневно) обновлять их базы;
не выгружать резидентную часть (монитор) антивирусной программы из оперативной памяти компьютера;
использовать только программы и данные, полученные из надежных источников - чаще всего вирусами бывают заражены пиратские копии программ;
никогда не открывать файлы, прикрепленные к электронным письмам, пришедшим от неизвестных отправителей, и не заходить на сайты, рекламируемые через спам-рассылки (по данным Лаборатории Касперского, в настоящее время около 90 % вирусов распространяются именно таким образом).
Аналогично можно сформулировать несколько общих требований к хорошей антивирусной программе. Такая программа должна:
обеспечивать эффективную защиту в режиме реального времени - резидентная часть (монитор) программы должна постоянно находиться в оперативной памяти компьютера и производить проверку всех файловых операций (при создании, редактировании, копировании файлов, запуске их на исполнение), сообщений электронной почты, данных и программ, получаемых из Internet;
позволять проверять все содержимое локальных дисков «по требованию», запуская проверку вручную или автоматически по расписанию или при включении компьютера;
защищать компьютер даже от неизвестных вирусов – программа должна включать в себя технологии поиска неизвестных вирусов, основанные на принципах эвристического анализа;
уметь проверять и лечить архивированные файлы;
давать возможность регулярно (желательно ежедневно) обновлять антивирусные базы (через Internet, с дискет или CD).
В настоящее время в России используются главным образом два проверенных качественных антивирусных пакета: Dr.WEB и «Антивирус Касперского». Каждая из этих продуктов имеет свою линейку, ориентированную на разные сферы применения – для использования на локальных компьютерах, для малого и среднего бизнеса, для крупных корпоративных клиентов, для защиты локальных сетей, для почтовых, файловых серверов, серверов приложений. Оба продукта, безусловно, отвечают всем вышеперечисленным требованиям.
В настоящее время в России используются главным образом два проверенных качественных антивирусных пакета: Dr.WEB и «Антивирус Касперского». Каждая из этих продуктов имеет свою линейку, ориентированную на разные сферы применения – для использования на локальных компьютерах, для малого и среднего бизнеса, для крупных корпоративных клиентов, для защиты локальных сетей, для почтовых, файловых серверов, серверов приложений. Оба продукта, безусловно, отвечают всем вышеперечисленным требованиям.
Как защищаться? Наиболее простой способ - купить новейшие рекламируемые средства защиты и установить их у себя в организации, не утруждая себя обоснованием их полезности и эффективности. Если компания богата, то она может позволить себе этот путь. Однако истинный руководитель должен системно оценивать ситуацию и правильно расходовать средства. Во всем мире сейчас принято строить комплексную систему защиту информации и информационных систем в несколько этапов - на основе формирования концепции информационной безопасности, имея в виду в первую очередь взаимосвязь ее основных понятий (рис. 9.3).
Первый этап - информационное обследование предприятия - самый важный. Именно на этом этапе определяется, от чего в первую очередь необходимо защищаться компании.
Рисунок 9.3 – Взаимосвязанные параметры поля информационной безопасности
Вначале строится так называемая модель нарушителя, которая описывает вероятный облик злоумышленника, т. е. его квалификацию, имеющиеся средства для реализации тех или иных атак, обычное время действия и т. п. На этом этапе можно получить ответ на два вопроса, которые были заданы выше: «Зачем и от кого надо защищаться?» На этом же этапе выявляются и анализируются уязвимые места и возможные пути реализации угроз безопасности, оценивается вероятность атак и ущерб от их осуществления.
По результатам этапа вырабатываются рекомендации по устранению выявленных угроз, правильному выбору и применению средств защиты. На этом этапе может быть рекомендовано не приобретать достаточно дорогие средства защиты, а воспользоваться уже имеющимися в распоряжении. Например, в случае, когда в организации есть мощный маршрутизатор, можно рекомендовать воспользоваться встроенными в него защитными функциями, а не приобретать более дорогой межсетевой экран (Firewall).
Наряду с анализом существующей технологии должна осуществляться разработка политики в области информационной безопасности и свода организационно-распорядительных документов, являющихся основой для создания инфраструктуры информационной безопасности (рис. 9.4). Эти документы, основанные на международном законодательстве и законах Российской федерации и нормативных актах, дают необходимую правовую базу службам безопасности и отделам защиты информации для проведения всего спектра защитных мероприятий, взаимодействия с внешними организациями, привлечения к ответственности нарушителей и т. п.
Рисунок 9.4 – Составляющие инфраструктуры информационной безопасности
Формирование политики ИБ должно сводиться к следующим практическим шагам.
Определение и разработка руководящих документов и стандартов в области ИБ, а также основных положений политики ИБ, включая:
принципы администрирования системы ИБ и управление доступом к вычислительным и телекоммуникационным средствам, программам и информационным ресурсам, а также доступом в помещения, где они располагаются;
принципы контроля состояния систем защиты информации, способы информирования об инцидентах в области ИБ и выработку корректирующих мер, направленных на устранение угроз;
принципы использования информационных ресурсов персоналом компании и внешними пользователями;
организацию антивирусной защиты и защиты против несанкционированного доступа и действий хакеров;
вопросы резервного копирования данных и информации;
порядок проведения профилактических, ремонтных и восстановительных работ;
программу обучения и повышения квалификации персонала.
Разработка методологии выявления и оценки угроз и рисков их осуществления, определение подходов к управлению рисками: является ли достаточным базовый уровень защищенности или требуется проводить полный вариант анализа рисков.
Структуризацию контрмер по уровням требований к безопасности.
Порядок сертификации на соответствие стандартам в области ИБ. Должна быть определена периодичность проведения совещаний по тематике ИБ на уровне руководства, включая периодический пересмотр положений политики ИБ, а также порядок обучения всех категорий пользователей информационной системы по вопросам ИБ.
Следующим этапом построения комплексной системы информационной безопасности служит приобретение, установка и настройка рекомендованных на предыдущем этапе средств и механизмов защиты информации. К таким средствам можно отнести системы защиты информации от несанкционированного доступа, системы криптографической защиты, межсетевые экраны, средства анализа защищенности и другие.
Для правильного и эффективного применения установленных средств защиты необходим квалифицированный персонал.
С течением времени имеющиеся средства защиты устаревают, выходят новые версии систем обеспечения информационной безопасности, постоянно расширяется список найденных слабых мест и атак, меняется технология обработки информации, изменяются программные и аппаратные средства, приходит и уходит персонал компании. Поэтому необходимо периодически пересматривать разработанные организационно-распорядительные документы, проводить обследование ИС или ее подсистем, обучать новый персонал, обновлять средства защиты.
Следование описанным выше рекомендациям построения комплексной системы обеспечения информационной безопасности поможет достичь необходимого и достаточного уровня защищенности вашей автоматизированной системы.
Чем защищаться? Условно можно выделить три категории средств защиты - традиционные средства, новые технологии и средства криптографической защиты информации. Криптографические средства вынесены в отдельную категорию, потому что они являют собой совершенно особый класс защитных средств, который не может быть отнесен к какому-либо другому классу.
Традиционные средства защиты строились с учетом классических моделей разграничения доступа, разработанных в 1960-1970-х годах. В то время сети еще не получили столь широкого распространения, да и разрабатывались эти модели в военных ведомствах. К таким средствам можно отнести системы разграничения доступа и межсетевые экраны. Первые средства реализуют разграничение доступа конкретных пользователей к ресурсам конкретного компьютера или всей сети, а вторые - разграничивают доступ между двумя участками сети с различными требованиями по безопасности. Ярким примером систем разграничения доступа являются системы семейства SecretNet, разработанные Научно-инженерным предприятием «Информзащита» и на сегодняшний день являющиеся лидерами российского рынка информационной безопасности.
Из межсетевых экранов можно назвать продукты компаний CheckPoint и CyberGuard - Firewall-1 и CyberGuard Firewall соответственно. В частности, межсетевой экран CheckPoint Firewall-1 по данным независимых агентств охватывает более 40 % мирового рынка защитных средств этого класса. К классу межсетевых экранов можно также отнести и многие маршрутизаторы, реализующие фильтрацию данных на основе специальных правил (рис. 9.5).
Рисунок 9.5 – Использование комплекса «маршрутизатор-файерволл» в системах защиты информации при подключении к Internet
Однако у этих средств есть свои особенности. Например, если предъявить этим системам украденные идентификатор и секретный элемент (как правило, имя пользователя и пароль), то и системы разграничения доступа, и межсетевые экраны «пропустят» взломщика в корпоративную сеть и дадут доступ к тем ресурсам, к которым допущен пользователь, чьи имя и пароль «уведены». А получить пароль сейчас достаточно просто.
Для этого можно использовать большой арсенал различных средств, начиная от программ-взломщиков, перебирающих за короткое время огромное число возможных паролей, и заканчивая анализаторами протоколов, которые исследуют трафик, передаваемый по сетям, и вычленяют из него именно те фрагменты, которые характеризуют пароли.
Для устранения таких недостатков были разработаны новые технологии и различные механизмы защиты, из которых широкое распространение получили анализ защищенности и обнаружение атак. Анализ защищенности заключается в поиске в вычислительной системе и ее компонентах различных уязвимых мест, которые могут стать мишенью для реализации атак. Именно наличие этих мест приводит к возможности несанкционированного проникновения в компьютерные сети и системы. Самым известным продуктом в области анализа защищенности является семейство SAFEsuite американской компании Internet Security Systems, которое состоит из трех систем, обнаруживающих уязвимости («дыры») и ошибки в программном обеспечении - Internet Scanner, System Scanner и Database Scanner (рис. 9.6).
Обнаружение атак - это новая технология, которая получила распространение в последние годы. Ее отличительная особенность состоит в обнаружении любых атак, в том числе исходящих и от авторизованных пользователей, и пропускаемых межсетевыми экранами и средствами разграничения доступа. На этом рынке также лидирует компания ISS с системой обнаружения атак RealSecure.
Рисунок 9.6 – Схема применения сканирующей системы информационной безопасности
Необходимо сказать несколько слов о криптографических средствах, которые предназначены для защиты критически важных данных от несанкционированного прочтения и/или модификации. Криптография – это совокупность технических, математических, алгоритмических и программных методов преобразования данных (шифрование данных), которая делает их бесполезными для любого пользователя, у которого нет ключа для расшифровки.
Формальные математические методы криптографии были разработаны Клодом Шенноном [Шеннон К. Математическая теория криптография, 1945. Он доказал теорему о существовании и единственности абсолютно стойкого шифра - такой системы шифрования, когда текст однократно зашифровывается с помощью случайного открытого ключа такой же длины. В 1976 году американские математики У.Диффи и М.Хеллман обосновали методологию асимметричного шифрования с применением открытой однонаправленной функции (это такая функция, когда по ее значению нельзя восстановить значение аргумента) и открытой однонаправленной функции с секретом.
В 1990-е годы в США были разработаны методы шифрования с помощью особого класса функций - хэш-функций (Hash Function). Хэш-функция (дайджест-функция) - это отображение, на вход которого подается сообщение переменной длины М, а выходом является строка фиксированной длины h(M) - дайджест сообщения. Криптостойкость такого метода шифрования состоит в невозможности подобрать документ М', который обладал бы требуемым значением хэш-функции. Параметры вычисления хэш-функции h являются семейством ключей {К}N. В настоящее время на этих принципах строятся алгоритмы формирования электронной цифровой подписи (ЭЦП).
Наиболее используемыми симметричными алгоритмами шифрования в настоящее время являются DES (Data Encryption Standard), IDEA (International Data Encryption Algorithm), RC2, RC5, CAST, Blowfish. Асимметричные алгоритмы - RSA (Rivest, Shamir, Adleman), алгоритм Эль Гамаля, криптосистема ЕСС на эллиптических кривых, алгоритм открытого распределения ключей Диффи-Хеллмана. Алгоритмы, основанные на применении хэш-функций, - MD4 (Message Digest 4), MD5 (Message Digest 5), SHA (Secure Hash Algorithm).
Наиболее известным программным продуктом, распространяемым свободно, является пакет PGP (Pretty Good Privacy). Пакет разработан в 1995 году Филом Циммерманом (Phil Zimmerman), который использовал упомянутые выше алгоритмы RSA, IDEA, и MD5. PGP состоит из трех частей - алгоритма IDEA, сигнатуры и цифровой подписи. PGP использует три ключа - открытый ключ адресата, секретный ключ владельца и сеансовый ключ, генерируемый при помощи RSA и открытого ключа случайным образом при шифровании сообщения (рис.9.7).
Рисунок 9.7 – Схема формирования защищенного сообщения с помощью пакета PGP
Криптографические преобразования обеспечивают решение следующих базовых задач защиты - конфиденциальности (невозможности прочитать данные и извлечь полезную информацию) и целостности (невозможности модифицировать данные для изменения смысла или внесения ложной информации).
Технологии криптографии позволяют реализовать следующие процессы информационной защиты:
идентификация (отождествление) объекта или субъекта сети или информационной системы;
аутентификация (проверка подлинности) объекта или субъекта сети;
контроль/разграничение доступа к ресурсам локальной сети или внесетевым сервисам;
обеспечение и контроль целостности данных.
Эти средства обеспечивают достаточно высокий уровень защищенности информации, однако в России существует специфика их использования, связанная с действиями государственных органов и не позволяющая широко применять их в коммерческом секторе.
Нормативные документы в области информационной безопасности.
В Российской Федерации к нормативно-правовым актам в области информационной безопасности относятся:
Акты федерального законодательства:
Международные договоры РФ;
Конституция РФ;
Законы федерального уровня (включая федеральные конституционные законы, кодексы);
Указы Президента РФ;
Постановления правительства РФ;
Нормативные правовые акты федеральных министерств и ведомств;
Нормативные правовые акты субъектов РФ, органов местного самоуправления и т. д.
К нормативно-методическим документам можно отнести:
Методические документы государственных органов России:
Доктрина информационной безопасности РФ;
Руководящие документы ФСТЭК (Гостехкомиссии России);
Приказы ФСБ;
Стандарты информационной безопасности, из которых выделяют:
Международные стандарты;
Государственные (национальные) стандарты РФ;
Рекомендации по стандартизации;
Методические указания.
Органы (подразделения), обеспечивающие информационную безопасность.
В зависимости от приложения деятельности в области защиты информации (в рамках государственных органов власти или коммерческих организаций), сама деятельность организуется специальными государственными органами (подразделениями), либо отделами (службами) предприятия.
Государственные органы РФ, контролирующие деятельность в области защиты информации:
Комитет Государственной думы по безопасности;
Совет безопасности России;
Федеральная служба по техническому и экспортному контролю(ФСТЭК России);
Федеральная служба безопасности Российской Федерации(ФСБ России);
Служба внешней разведки Российской Федерации(СВР России);
Министерство обороны Российской Федерации(Минобороны России);
Министерство внутренних дел Российской Федерации(МВД России);
Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций(Роскомнадзор).
Службы, организующие защиту информации на уровне предприятия
Служба экономической безопасности;
Служба безопасности персонала(Режимный отдел);
Отдел кадров;
Служба информационной безопасности.
Приоритетными направлениями проводимых исследований и разработок, как у нас в стране, так и за рубежом, являются:
- защита от несанкционированных действий (НСД) и разграничение доступа к данным в информационно-вычислительных системах коллективного пользования;
- идентификация и аутентификация пользователей и технических средств (в том числе «цифровая» подпись);
- обеспечение в системах связи и передачи данных защиты от появления дезинформации;
- создание технического и системного программного обеспечения высокого уровня надежности и использование стандартов (международных, национальных и корпоративных) по обеспечению безопасности данных;
- защита информации в телекоммуникационных сетях;
- разработка правовых аспектов компьютерной безопасности.
В связи с интенсивным развитием в нашей стране телекоммуникационной инфраструктуры и ее интеграции в международные сети, особенно острой является проблема защиты от компьютерных вирусов. Сетевые вирусы (так называемые репликаторы) являются особым классом вирусов, имеющих логику, обеспечивающую их рассылку по пользователям сети.
В последнее время отмечается большая международная активность в вопросе стандартизации способов и методов обеспечения безопасности данных в телекоммуникационных системах.
В США вопросами информационной безопасности занимается Форум по проблемам безопасности национальной информационной инфраструктуры (National Information Infrastructure Security Issues Forum). Форум является частью Группы по информационной инфраструктуре (Information Infrastructure Task Force), образованной Вице-президентом США Гором для реализации политики президентской администрации в отношении национальной информационной инфраструктуры.
Специфика проблем обеспечения информационной безопасности в научных и образовательных телекоммуникационных сетях. Следует подчеркнуть, что существует значительная специфика проблем обеспечения информационной безопасности в научных и образовательных телекоммуникационных сетях:
- Очевидно, что развивающиеся объектные технологии в распределенных системах будут использоваться, в первую очередь, в научных и образовательных телекоммуникациях. Общеизвестны большие выгоды, которые дает переход к открытым системам. Но среди них не значится безопасность информации. Наоборот - центры обработки данных передают некоторые из своих функций по контролю за системой ее субъектам.
- Развитие научных и образовательных телекоммуникаций (НОТ) будет вести к обострению проблемы правовой защиты интеллектуальной собственности для:
а) российских ученых и специалистов;
б) зарубежных фирм, продукты которых используются в России.
- Актуализировалась проблема криминального использования НОТ для проникновения и несанкционированных действий в банковской и финансовой сфере (в России и за рубежом).
- Актуальна проблема защиты:
а) от несанкционированного доступа и использования результатов завершенных НИОКР;
б) от возможности несанкционированного дистанционного получения обобщенной статистики (научного, технического, экологического, технико-экономического, персонального характера), сбора и анализа данных для оценки научно-технического потенциала отдельных коллективов и научных организаций, а также отраслей науки.
- Существуют реальные возможности использования открытых НОТ для преднамеренного финишного срыва крупных научно-технических проектов и программ, особенно в области критических технологий (ядерная энергетика, космические технологии, телекоммуникации и т.п.), за счет дезорганизации функционирования сети или ее сегментов в критически важные периоды времени.
- Достаточно актуальна проблема защиты от преднамеренных несанкционированных действий технического персонала, которые могут повлечь за собой полное или частичное прекращение функционирования корпоративной информационной системы или сетевых сегментов.
- Существуют проблемы защиты НОТ от деформации политики государства в области культуры, морали (порнография), национальных и межгосударственных отношений.
Обзор методов и средств защиты информации в реализованных проектах.
В период 1996-1997 гг. по проблематике информационной безопасности выполнялось пять проектов.
Фундаментальная научная проблема, на решение которой направлен проект «Защита национальных информационных ресурсов в условиях развития компьютерных открытых сетей» (97-07-89013, руководитель Черешкин Д.С.), состоит в разработке методологии анализа системы угроз целостности и защищенности национальных информационных ресурсов и эффективности мер противодействия им в условиях подключения национальных телекоммуникационных сетей к мировым сетям типа Интернет.
Следует отметить, что по современным оценкам, в Интернет сейчас находится около 150000 военных компьютеров, около 95 % связи военного характера осуществляется по сети общего пользования.
В рамках проекта проведено исследование проблем защиты информационных ресурсов (ИР) при подключении информационных систем, в которых накапливаются и формируются эти ресурсы, к открытым сетям. Обсуждаются различные аспекты описания ИР: содержание информации, источники, принадлежность к организационной или информационной системе, открытость, носители и т.п. Исследуются аспекты информационной безопасности по критериям конфиденциальности, целостности и доступности. Приводится классификация угроз информационной безопасности в условиях интернационализации открытых сетей. Рассматриваются возможные сценарии атаки на серверы ИР на 1998-2000 гг. Дается анализ существующих программно-аппаратных средств защиты ИР в корпоративных открытых сетях и определены наиболее эффективные методы защиты ИР. Предлагается методика комплексной оценки эффективности систем защиты ИР, базирующаяся на выделении элементарных угроз и средств противодействия с дальнейшей их агрегацией до уровня систем нападения и систем защиты.
Следует отметить, что коллектив являлся головным разработчиком «Концепции информационной безопасности Российской Федерации», моделей эффективности средств обеспечения информационной безопасности.
В рамках проекта «Создание системы дистанционной поддержки информационной безопасности критических технологий» (97-07-90049, руководитель Герасименко В.А.) получены следующие результаты:
1) разработана концепция создания системы дистанционной поддержки информационной безопасности в территориально-распределенных системах, основу которой составляет построение гибкой системы защиты информации в узлах сети и сетях передачи данных, в которой выделяется функционально самостоятельная компонента информационного управления механизмами непосредственной защиты информации;
2) в целях создания условий для обеспечения надежной защиты информации в узлах сети разработан функциональный подход, заключающийся в формировании полного множества функций защиты;
3) в целях создания условий, необходимых для гибкого варьирования надежного осуществления функций защиты, разработано репрезентативное множество задач защиты, целесообразным выбором которых можно обеспечить требуемую защиту при минимизации расходуемых ресурсов;
4) для обеспечения возможностей эффективного решения задач защиты собраны и систематизированы сведения о существующих и перспективных средствах защиты (ЗИ). Средствами ЗИ названы те устройства, сооружения, приспособления, программы, нормы, соглашения, мероприятия и условия, с помощью которых могут решаться задачи защиты. Сюда относятся как традиционные (ранее использовавшиеся), так и средства, специально разрабатываемые для целей ЗИ. В общепринятую практику вошло деление средств ЗИ на такие классы:
а) технические;
б) программно-аппаратные;
в) организационные;
г) криптографические;
д) нормативно-правовые;
е) социально-психологические;
ж) морально-этические.
К настоящему времени разработан весьма представительный арсенал средств, на их основе создаются функционально ориентированные системы защиты, некоторая их часть получила сертификат специальных государственных органов (ФАПСИ, Гостехкомиссия при Президенте РФ).
Для обеспечения надежной защиты информации в сетях передачи данных собраны сертифицированные средства криптографической защиты и электронной подписи. Два наиболее часто используемых зарубежных алгоритма - это DES и RSA. При первом подходе используется личный ключ, при последнем - открытый ключ. Российским аналогом является алгоритм ГОСТ 28147-89 (режим гаммирования с обратной связью), реализованный, например, в системе защиты информации от НСД в сети Netware «СНЕГ-ЛВС». Устройства шифрования могут работать как в интерактивном, так и в автономном режимах.
Одной из наиболее привлекательных новых технологий является использование протоколов со средствами шифрования трафика при его передаче по открытой и наиболее уязвимой части СПД (примеры: протокол IPsec, Secure Socket Layer, Secure HTTP, Layer Two Tunneling Protocol, Secure Tunnel Establishment Protocol и т.д.). В качестве одной из наиболее известных российских систем криптографической защиты информации можно отметить разработку ФАПСИ «Верба», выполненную в соответствии с государственными стандартами на цифровую подпись ГОСТ Р 34.10-94 и ГОСТ Р 34.11-94.
6) для предупреждения злоумышленного доступа из сети передачи данных в сопряженные с нею узлы сети разработана модель, основанная на использовании так называемых межсетевых экранов. Название «межсетевые экраны» получили системы анализа трафика и блокировки доступа (термин введен Гостехкомиссией при Президенте РФ в руководящем документе «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа», июль 1997 г.). На основе заданного набора правил они анализируют пакеты на предмет разрешенных и запрещенных адресов и сервисов. Межсетевой экран (МЭ) - это система, позволяющая разделить сеть на две или более частей и реализовать набор правил, которые определяют условия прохождения пакетов из одной части в другую. На сегодня существуют два МЭ класса 3Б, сертифицированных Гостехкомиссией при Президенте РФ, которые и можно использовать в СПД в качестве модуля предупреждения о НСД:
- автоматизированная система доступа «Black Hole» (Milkyway Networks) - МЭ, работающий на proxy-серверах протоколов прикладного уровня и разграничивающий доступ между локальной и глобальной сетями или между двумя подразделениями локальной сети;
- межсетевой экран защиты локальной сети «ПАНДОРА» на базе Gauntlet 3.1.li (Truster Information Systems) и компьютера О2 (Silicon Graphics) под управлением IRIX 6.3.
«Black Hole» поддерживает: терминальный доступ (TELNET); передачу файлов (FTP); почту (SMTP); новости Usenet (NNTP, SNNTP); Web (HTTP, SHTTP); Gopher; Real Audio; Archie; Wais; X Window System и proxy-серверы для TCP- и UDP-протокола. Осуществляется мониторинг TCP/UDP-портов и сбор статистики (в реляционной БД) и оповещение о попытках доступа к ним. «Black Hole» поддерживает аутентификацию с использованием обычных и одноразовых паролей: S/Key; Enigma Logic Safeword; Security Dynamics SecureID;
7) в целях обеспечения гибкого управления всеми механизмами защиты разработаны методы планирования, оперативно-диспетчерского регулирования и календарно-планового руководства процессами защиты;
8) в целях практической проверки предложены решений они включены в рабочий проект автоматизированной сети центров защиты информации.
Проект «Разработка программных и аппаратных средств защиты результатов фундаментальных исследований» (97-07-90220, руководитель Чернышев Ю.А.) направлен на решение задачи защиты информации, возникающей при проведении фундаментальных исследований с целью предотвращения утечки информации. Наиболее важными представляются защита результатов теоретических и экспериментальных исследований, а также конфиденциальной научной информации.
В узком плане цель проекта - разработка алгоритмов сжатия и генерации последовательностей, отличающихся простотой и эффективностью программной и аппаратной реализации; создание на их основе программных и аппаратных средств для шифрования/дешифрования и контроля целостности информации. Обобщенная постановка задачи - создать недорогие, но надежные и быстродействующие аппаратные и программные средства с управляемой степенью защиты, которые помимо шифрования/дешифрования выполняли бы контроль целостности преобразуемой информации.
Основными результатами выполнения проекта являются следующие:
1) разработаны новые классы алгоритмов генерации, кэширования и преобразования информационных последовательностей, исследованы их характеристики и математически строго доказан ряд их свойств;
2) разработана методика тестирования и реализованы программно 13 статистических тестов, осуществлена проверка характеристик генерируемых с помощью разработанных алгоритмов псевдослучайных последовательностей, выявившая высокий уровень качества их статистических показателей;
3) разработана быстродействующая программа контроля целостности файлов, позволяющая с очень высокой достоверностью определять факт искажения файлов;
4) разработана концепция применения всех созданных алгоритмов к проблеме защиты информации;
5) спроектирована принципиальная схема универсального устройства, которое может работать в режиме генератора, анализатора или устройства для шифрования информационных последовательностей;
6) создано несколько программ для среды DOS, обеспечивающих шифрование/дешифрование файлов на основе разработанной методики;
7) написана и отлажена программа «Сейф Ученого», предназначенная для шифрования/дешифрования на основе созданных алгоритмов файлов, содержащих результаты фундаментальных исследований. Программа предоставляет возможность выбора уровня сложности алгоритма кодирования, приоритета выполнения операций шифрования/дешифрования файлов, выполняет контроль целостности на основе электронной подписи, формируемой по алгоритму авторской разработки, защищенной патентом России № 2087030. Зашифрованный файл имеет минимальную избыточность и не содержит в явном или зашифрованном виде ключевой информации. «Сейф Ученого» работает в среде Windows 95/NT, имеет удобный графический интерфейс, прост в использовании и дополнительно содержит ряд функций по управлению файлами и каталогами.
Проект «Защита данных в открытых информационных системах на основе оптимальных нелинейных алгоритмов с хаотической динамикой» (97-07-90031, руководитель Гуляев Ю.В.) использует принципиально новый подход к проблеме защиты информационных ресурсов, основанный на теории динамических систем и хаоса.
Для защиты данных в информационных системах в настоящее время за рубежом активно разрабатываются и используются программно-аппаратные комплексы типа DES и RSA в OC Windows NT, NetWare 4.x. Известные алгоритмы криптографической защиты информации основаны на операции возведения в степень произведения простых чисел. Такая особенность является уязвимым местом современных методов закрытия информации. В области математики и информатики ведутся исследования других способов преобразования и кодирования данных.
В зарубежной практике нет аналога предлагаемому в данном проекте способу защиты информационных ресурсов.
Теоретическое исследование и численное моделирование дискретных математических моделей с хаотической динамикой позволит предложить принципиально новую технологию криптографического закрытия информационных ресурсов. На основе численного моделирования хаотических алгоритмов будет построена большая система никогда не повторяющихся сложных шумоподобных сигналов (сигналов с большой базой) или хаотических кодов-ключей. Динамически изменяющиеся хаотические коды сделают невозможным раскрытие в реальном времени информационных ресурсов открытых телекоммуникационных систем.
Для решения проблемы защиты данных в открытых информационных системах на основе оптимальных нелинейных алгоритмов хаотической динамики на первом этапе выполнения гранта получены следующие результаты:
1) созданы и исследованы дискретные математические модели хаотических автоколебательных систем и разработаны требования к системе шумоподобных хаотических сигналов (ШХС) произвольной длительности. Сигналы формируются в классе нелинейных кольцевых систем с запаздыванием, в которых одновременно присутствуют и активная и реактивная нелинейности. Численным анализом на ЭВМ произведен выбор оптимальных параметров системы. Показано, что корреляционные свойства как бинарного, так и более сложных формируемых ШХС, близки к статистическим свойствам случайного процесса. Оценка величины объема системы псевдослучайных кодовых последовательностей, формируемых полученными алгоритмами, основанная на подсчете количества блоков в последовательностях, показала возможность получения большого ансамбля оптимальных кодов, порядка 1012 и более. Близость статистических характеристик ШХС к характеристикам случайного процесса обеспечивает структурную скрытость полезного сигнала на фоне шумовых помех. Показано, что корреляционные свойства бинарного сигнала, сформированного по алгоритму ШХС, полностью отвечают свойствам случайного дельта-корреляционного процесса. Проведено исследование размерностей в пространстве ШХС-сигналов. Численное моделирование системы хаотических бинарных кодов, сформированной по алгоритму ШХС, показало, что дисперсия рассеяния кодовых расстояний вокруг оптимального среднего значения плавно уменьшается с увеличением длины кода. Выполненные исследования подтверждают хорошие групповые свойства системы хаотических бинарных кодов, построенной по алгоритму ШХС.
2) предложено и рассмотрено применение метода двойной спектральной обработки псевдослучайных последовательностей (ПСП) с использованием быстрого преобразования Фурье для применения вместо традиционного коррелятора в устройствах приема информации на ПСП. Этот метод также позволит существенно ускорить процедуру поиска синхронизма.
3)
аппаратно реализован СВЧ-генератор
хаотических сигналов с мощностью,
существенно превышающей мощность
тепловых шумов в широком частотном
диапазоне для систем противодействия
перехвату информации с периферийных
коммуникационных устройств, с целью
его использования для надежной маскировки
побочных излучений электронных шифрующих
устройств.
Цель
выполнения проекта «Разработка методов
применения техники формального описания
для построения спецификаций и тестирования
защищенных протоколов, классификация
защищенных протоколов» (97-07-90012,
руководитель Макаревич О.Б.) - упростить
разработку и применение защищенных
протоколов передачи данных в конкретной
телекоммуникационной среде.
Основные
результаты выполнения проекта в 1997
году:
1)
предложена методика проверки корректности
управляющих графов программ, представленных
в виде иерархического графа, вершины
которого соответствуют подзадачам,
моделирующим, в частности, процессы
информационного обмена в сетях ЭВМ по
сложным протоколам. Суть методики
заключается в проверке возможности
многократного выполнения циклов путем
выписывания для них логических выражений,
определяющих возможность выполнения
каждой подзадачи и сравнения полученных
выражений с нулем.
2)
исследована проблема автоматической
генерации протоколов связи и их
тестирования. Сформулированы требования
к тестированию защищенных протоколов.
Особое внимание уделено разработке
спецификаций протоколов для повышения
возможностей тестирования, а также
методами «прямого» тестирования
проведено тестирование на уровне
программных моделей новых протоколов
и эффективных алгоритмов кодирования
(Фано и Стек-алгоритм) с целью анализа
их вычислительной стоимости.
3)
существующие методики разработки,
моделирования и тестирования протоколов
не учитывают вопросов защиты данных от
посторонних воздействий и не предусматривают
оценки характеристик защищенности от
неавторизованного доступа и помех в
канале передачи. Для определения области
применения разработанного протокола
выделяются качественные и количественные
характеристики, определяющие степень
сложности и защищенности протокола:
скорость работы, размер кода, структура
кода, переносимость, соответствие
спецификации, вид кодирования, сложность
оперативного тестирования и шифрования.
Оригинальным
в предложенном подходе является алгоритм
проверки корректности управляющих
графов программ, отдельные части которого
представляют параллельно-последовательные
процессы, например, процессы информационного
обмена в сетях ЭВМ, работающие по
достаточно сложным протоколам. Данные
алгоритмы будут использованы для
верификации протоколов. Предложения
по введению дополнительных специальных
конструкций в модели защищенных
протоколов позволят уменьшить размер
модели, упростить спецификацию протокола
и тем самым дают возможность использования
методик автоматизированной проверки
правильности построения протокола.
Средства обеспечения информационной безопасности в Internet.
Беспрецедентные возможности технологий Internet, WWW, CORBA, Java требуют адекватных средств обеспечения безопасности при проектировании информационных систем. В частности, требуется исключение возможности перехвата информации и ее подмены, выдачи себя (программы) за другое лицо (программу). Для этого в Интернет действует система обеспечения безопасности, которая уже стала повседневным инструментом при создании систем на основе названных технологий. Далее возможности таких систем безопасности рассматриваются на примере их воплощения в Netscape (http: //home.netscape.com/assist/security/index.html).
В
основе системы безопасности лежат
криптосистемы с парой ключей (открытым
и закрытым). Открытый ключ доступен
многим в процессе шифрования информации,
которая будет послана обладателю данной
пары ключей. Кроме того, при помощи
открытого ключа пользователи могут
расшифровывать информацию, которая
получена ими от владельца ключа. Закрытый
ключ должен быть доступен только его
владельцу, который может использовать
его для расшифровки сообщений,
зашифрованных при помощи открытого
ключа. Закрытый ключ может быть также
использован для шифрования.
При
аутентификации расшифровка открытым
ключом идентифицирует обладателя
закрытого ключа. Криптографический
алгоритм (RSA, стандарт PKCS-1) с открытым и
закрытым ключами доступен посредством
(http://www.RSA.com/).
Метод
цифровой подписи обеспечивает проверку
аутентичности отправителя и отсутствие
подмены сообщения. Кэшированное и
шифрованное закрытым ключом сообщение
(дайджест) передается вместе с оригинальным
сообщением. Получатель расшифровывает
дайджест открытым ключом и генерирует
кэш. Если дайджесты идентичны, то
сообщение действительно послано
владельцем ключей и не было изменено
при передаче. Таким образом, зашифрованный
дайджест сообщения служит в качестве
цифровой подписи. Наиболее часто
используются следующие два алгоритма
получения дайджеста (MDA): MD5, разработанный
RSA Laboratories, генерирует 128-битный дайджест;
SHA-1 (Secure Hash Algorithm), разработанный NIST
(National Institute of Standards and Technonlogy) и NSA (National
Security Agency), генерирует 160-битный дайджест.
Система
с открытым ключом обеспечивает
аутентификацию по ключу, но не гарантирует,
что данный ключ принадлежит определенному
владельцу. Сертификат - цифровой документ,
удостоверяющий, что данный ключ
принадлежит данному человеку (организации,
серверу). (http:
//home.netscape.com/assist/certificate/index.html).
Сертификаты
выпускаются специальными агентствами
(СА) (VeriSign, Netscape Certificate Server). Формат
сертификата (стандарт X.509) содержит
информацию о лице и о CA, выпустившем
данный сертификат, подпись (сигнатуру),
а также информацию о сертифицируемом
открытом ключе: название алгоритма и
битовое представление ключа. Вторая
часть сертификата включает сигнатуру
CA, выпустившего сертификат, название
алгоритма генерации сигнатуры,
зашифрованной при помощи закрытого
ключа, принадлежащего CA.
Когда
посылается сертификат и сообщение,
подписанное при помощи закрытого ключа,
получатель может использовать открытый
ключ в сертификате для проверки личности
посылателя по описанной выше схеме. Сам
сертификат тоже подлежит проверке при
помощи сертификатов CA, которые
импортируются или предварительно
инсталлированы в клиентской среде
(браузер).
Технология
«подписанных объектов» (Object Signing)
используется браузерами (Communicator,
Netscape) для обеспечения достоверности
кода, загружаемого из Интернет (http:
//developer.netscape.com/ software/ signedobj/ index.html). Так,
Object Signing позволяет Java-апплету запрашивать
разрешение различных действий (например,
удалять файлы на локальной машине).
Object Signing предоставляет пользователю
контроль над действиями апплета.
Communicator
позволяет пользователям определить
создателя данного апплета и разрешить
или запретить доступ к некоторым его
действиям в локальной системе. Для этих
целей браузер поддерживает список
«подписчиков» Java-апплетов, и для каждого
из них устанавливает список разрешенных
видов доступа.
Netscape
предоставляет средство для подписи
апплетов под названием Zigbert. Zigbert - это
программное средство, доступное в
Windows 95/NT, в Solaris и в IRIX, предназначенное
для использования разработчиками,
распространяющими программное обеспечение
в Интернет. С помощью Zigbert можно поместить
множество файлов апплета в JAR-файл в
сжатом виде, а также снабдить этот файл
цифровой подписью.
Перед
тем как «подписать» апплет, разработчик
должен инсталлировать свой сертификат,
а также сертификат того CA, который выдал
ему сертификат. Пользователю, который
намеревается загрузить апплет, необходим
только CA-сертификат.
При
открытии в браузере страницы с
«подписанным» апплетом браузер загружает
JAR-архив, содержащий классы апплета и
другие вспомогательные файлы. Браузер
проверяет цифровую подпись, хранящуюся
в архиве в виде файла, для того чтобы
узнать, чей сертификат использовался
для подписи, а также удостовериться в
том, что содержимое архива не изменилось
при передаче. Если эти операции завершились
успешно, то апплет запускается на
исполнение, во время которого апплет
может запрашивать привилегии на
выполнение того или иного действия при
помощи специальных методов.
Гражданско-правовая ответственность за нарушения информационной безопасности сайтов сети Интернет.
Современные Интернет технологии предоставляют широкие возможности бизнесу, обществу и государству. Одним из возможных способов использования Интернет технологий является создание и использование сайтов сети Интернет. Подобная деятельность связана с рисками различного рода, включая риски нарушения информационной безопасности. Нарушение информационной безопасности может произойти как по причине активных действий нарушителя, так и по причине пассивного бездействия лица, не предпринимающего адекватных мер к обеспечению информационной безопасности, в результате чего собственнику, пользователю сайта Интернет или иному физическому или юридическому лицу, обществу в целом или государству может быть причинен вред. Сложность обеспечения адекватных мер информационной безопасности определяется быстрым развитием Интернет технологий и появлением новых видов угроз. В связи с этим особое значение приобретают вопросы ответственности за нарушения информационной безопасности сайтов сети Интернет.
Гражданско-правовая ответственность является одним из видов юридической ответственности и характеризуется применением к нарушителю предусмотренных законом или договором мер воздействия, влекущих для него отрицательные, экономически невыгодные последствия имущественного характера. В условиях рыночных отношений подобный вид ответственности представляется одним из эффективных способов регулирования общественных отношений. Однако, на законодательном уровне вопросы гражданско-правовой ответственности за нарушения информационной безопасности сайтов сети Интернет не находят своего отражения, а развитие законодательства в этой сфере, как отмечает ряд авторов, ведется бессистемно. Предлагаются различные пути решения обозначенной проблемы, в частности, разработка и принятие отдельного нормативного акта на уровне федерального законодательства «Об обеспечении информационной безопасности». В подобном законе должен найти свое отражение конкретный список правонарушений в сфере обеспечения информационной безопасности, за совершение которых предусматривается юридическая ответственность. Помимо закрепления ответственности провайдеров предлагается также введение страхования их ответственности и рисков нарушения информационной безопасности. Самостоятельным основанием возникновения гражданско-правовой ответственности является договор. В договоре между пользователями сайта Интернет и информационным посредником (провайдером), последний, как правило, снимает или существенным образом ограничивает свою имущественную ответственность на случай нарушения информационной безопасности. Отдельные информационные посредники по договору не возлагают на себя обязанности по реализации разумных усилий и мер с целью недопущения нарушения информационной безопасности, а ряд информационных посредников открыто заявляют, что лица, обратившиеся к их услугам, используют их на свой страх и риск, снимая с себя какую бы то ни было ответственность.
Дальнейшее теоретическое исследование названных проблем и совершенствование законодательства в обозначенной сфере позволят гарантировать бизнесу, обществу и государству безопасную реализацию собственных прав и законных интересов в сфере Интернет технологий.
Таким образом, существуют определенные правила, которых целесообразно придерживаться при организации защиты информации:
- создание и эксплуатация систем защиты информации является сложным и ответственным процессом. Не доверяйте вопросы защиты информации дилетантам, поручите их профессионалам;
- не старайтесь организовать абсолютно надежную защиту - такой просто не существует. Система защиты должна быть достаточной, надежной, эффективной и управляемой. Эффективность защиты информации достигается не количеством денег, потраченных на ее организацию, а способностью ее адекватно реагировать на все попытки несанкционированного доступа к информации;
- мероприятия по защите информации от несанкционированного доступа должны носить комплексный характер, т.е. объединять разнородные меры противодействия угрозам (правовые, организационные, программно технические);
- основная угроза информационной безопасности компьютерных систем исходит непосредственно от сотрудников. С учетом этого необходимо максимально ограничивать как круг сотрудников, допускаемых к конфиденциальной информации, так и круг информации, к которой они допускаются (в том числе и к информации по системе защиты). При этом каждый сотрудник должен иметь минимум полномочий по доступу к конфиденциальной информации.
Контрольные вопросы
1. Каковы приоритетные направления исследований и разработок в области защиты информации и компьютерной безопасности?
2. Перечислите формы организации вирусных атак.
3. Сформулируйте общие требования, предъявляемые к хорошей антивирусной программе
4. Назовите средства обеспечения информационной безопасности в Internet.
5. Какова гражданско-правовая ответственность за нарушения информационной безопасности сайтов сети Интернет?
Рекомендуемая литература
1. Симонович С. Общая информатика / С. Симонович, Г. Евсеев, А. Алексеев. – М. : АСТ-Пресс,1998. – 592 с.
2. William S. Davis The Information System Consultant's Handbook. Systems Analysis and Design / S. Davis William, C. Yen David. CRC Press, 1998.800 р.
3. Информатика. Базовый курс /Симонович С.В. и др..– СПб : Питер, 2001. – 640 с.
4. Лапонина О. Р. Основы сетевой безопасности / О. Р. Лапонина. – М. : ИНТУИТ.ru, 2005. – 248 с.
5. Интернет-ресурс: Энциклопедия Вирусов, www.viruslist.com/ru/viruses/encyclo-pedia.
6. Карминский А. М. Контроллинг в бизнесе. Методологические и практические основы построения контроллинга в организациях /А. М. Карминский, Н. И. Оленев, А. Г. Примак, С. Г. Фалько. – М. : Финансы и статистика, 1998. – 256 с.
7. Интернет-ресурс:www.mit.edu/network/pgp-form.html.
8. Интернет-ресурс: Лукацкий А.В. Защитите свой бизнес. www.bezpeka.com/ru/lib/sec/gen.html.